Falha no Microsoft Authenticator permite roubo de credenciais em dispositivos Android

Uma falha de segurança descoberta no aplicativo Microsoft Authenticator para Android colocava em risco contas corporativas ao permitir que aplicativos maliciosos sem nenhuma permissão no sistema roubassem tokens de autenticação. A vulnerabilidade, registrada sob o código CVE-2026-80097 e avaliada com nota 8.6 em gravidade, foi corrigida pela Microsoft na versão 6.2606.4246 do aplicativo, lançada no mês passado. A empresa orienta todos os usuários a realizarem a atualização imediata.

O problema foi descoberto pelo pesquisador Ofek Levin, que atuava por meio de um programa de bolsa na empresa de segurança Enclave. De acordo com o recém-publicado relatório da Enclave, o Authenticator faz mais no sistema Android do que apenas gerar códigos numéricos de seis dígitos.

O aplicativo atua como um gerenciador central de acesso, conhecido tecnicamente como “broker”. Quando precisam autenticar um usuário, softwares como o Teams ou o Outlook solicitam à plataforma um token, que funciona como um passe digital provando que a pessoa está logada.

A brecha ocorria porque o Authenticator expunha um componente interno chamado “AccountChooserActivity”, que podia ser iniciado por qualquer aplicativo presente no dispositivo. Quando um software malicioso acionava esse reccurso, o aplicaitvo criava a solicitação de acesso utilizando as informações fornecidas pelo invasor, incluindo o nome do programa que fingia ser, como o Teams.